Comment établir une entreprise de cybersécurité OT ou de sécurité des infrastructures critiques aux Émirats Arabes Unis

Une licence commerciale délivrée par le DET ou une autorité de free zone enregistre l'activité commerciale. Elle ne précise pas, en elle-même, si l'entreprise exerce une activité que la TDRA ou le Cyber Security Council considère comme réglementée. Le champ de compétence de la TDRA couvre les réseaux de télécommunications, les équipements et le chiffrement aux Émirats arabes unis ; une entreprise qui construit, revend ou exploite de la connectivité, ou qui fournit des équipements cryptographiques, entre dans ce champ de compétence quelle que soit la formulation de sa licence. Le Cyber Security Council a été créé pour élaborer la stratégie nationale de cybersécurité des Émirats arabes unis et gère la politique Critical Information Infrastructure Protection, qui fixe des obligations de sécurité de base pour les opérateurs d'infrastructures critiques désignées. Ces obligations incombent à l'opérateur d'infrastructure, mais elles atteignent le fournisseur par le biais du contrat : une banque, un fournisseur d'électricité ou un opérateur de transport qui est lui-même une entité CII désignée répercutera généralement ses contrôles de base, ses règles d'accès et ses obligations de signalement des incidents sur tout fournisseur de sécurité OT qu'il engage.

La question pratique pour un fondateur est de savoir lesquelles de ces trois instances voient leurs règles touchées par l'activité envisagée, de la même manière qu'une société de sécurité des identités ou de gestion des accès privilégiés doit répondre pour ses propres droits d'accès. Une activité de pure évaluation ou de revue d'architecture, sans accès en direct ni équipement propre, se rapproche le plus d'une activité commerciale ordinaire. Une entreprise qui surveille en continu le réseau d'un client, qui maintient une connexion distante permanente ou qui fournit et configure des passerelles se rapproche du périmètre de la TDRA et du Council, tout comme une société de cryptographie post-quantique ou de communications sécurisées doit qualifier son propre travail cryptographique avant de pouvoir qualifier sa licence.

Ni le périmètre de la TDRA ni le cadre CIIP du Council ne se ramènent à un tarif ou à une catégorie de licence unique susceptible d'être publié de façon générique. La TDRA décide, au cas par cas, si un réseau, un équipement ou une activité de chiffrement donné relève de la réglementation des télécommunications ; une société dont l'offre comprend de la connectivité, une surveillance capable d'interception ou du matériel cryptographique doit poser cette question directement à la TDRA plutôt que d'en déduire la réponse à partir du marketing d'un concurrent. La politique CIIP du Cyber Security Council est l'instrument qui identifie les actifs critiques, fixe les exigences de sécurité de base applicables aux entités CII et met en œuvre le dispositif de supervision et d'application qui l'entoure ; elle est rédigée à l'intention de l'exploitant de l'infrastructure, de sorte que les obligations d'un fournisseur à ce titre sont contractuelles et ne constituent pas une licence distincte que le fournisseur solliciterait lui-même. Les obligations en matière de protection des données s'y ajoutent : une société qui traite des données personnelles ou opérationnelles dans le cadre de son service de surveillance doit pouvoir démontrer où ces données sont hébergées et qui peut y accéder. Aucun code d'activité, aucune catégorie de licence ni aucun montant de capital n'est indiqué ici ; ces éléments sont confirmés au regard de la documentation actuelle de la TDRA et du Council avant le choix d'une structure juridique.

Une banque ou une équipe achats d'entreprise qui examine un fournisseur de sécurité OT ne vérifie pas d'abord le bilan comptable. Elle vérifie qui peut accéder aux systèmes de contrôle en exploitation d'un client, en vertu de quelle autorisation écrite, et ce qui se passe lorsque cet accès est mal utilisé ou simplement oublié. Il faut s'attendre à des questions sur l'étendue de tout dispositif d'accès à distance, sur la façon dont l'accès est limité dans le temps et révoqué, sur l'existence d'une journalisation, et sur le fait de savoir si l'accès est réellement détenu par le personnel propre de l'entreprise ou par un sous-traitant. Une simple transmission non documentée à une société mère, à une affiliée ou à un partenaire spécialisé est généralement la première chose qui bloque une conversation d'ouverture de compte. Constituer ces éléments de preuve avant le premier rendez-vous bancaire, plutôt qu'après la délivrance de la licence, est précisément la différence que la prestation préparation à l'ouverture d'un compte bancaire d'entreprise vise à apporter.

Les clients du secteur OT et des infrastructures critiques regardent au-delà du registre des actionnaires, vers les personnes qui vont réellement intervenir sur leurs systèmes. Un régulateur, une banque ou un client qui examine le dossier voudra voir une personne capable de démontrer une compétence en ingénierie OT, et non un simple profil de sécurité informatique générale, avant d'approuver tout travail de scan, de surveillance ou de modification sur un environnement industriel en exploitation. Lorsque l'actionnariat de l'entreprise elle-même passe par plusieurs niveaux de holdings, de fonds ou de structures familiales, cette chaîne fait partie du même dossier qu'un client ou une banque consultera, et la solution structure de détention réglementée et complexe est conçue précisément pour ce cas. Un plan d'affaires et documentation justificative écrit devrait exposer, en un seul endroit, le modèle d'exploitation, le périmètre d'accès et les personnes qui le détiennent.

Le point commun est le même que celui que rencontre une entreprise d'infrastructure de connectivité : une licence commerciale valide est confondue avec les autorisations, contrats et pouvoirs techniques dont l'exploitation dans ce secteur a réellement besoin. La licence est la partie facile ; le périmètre d'accès et l'autorisation écrite qui le sous-tend ne le sont pas.

Une licence commerciale mainland standard pour ce type d'activité de conseil ou de technologie démarre à 14 000 AED, avec un forfait licence seule en free zone disponible à partir d'environ 5 000 à 6 000 AED ; aucun de ces montants n'inclut le personnel d'ingénierie, les locaux sécurisés, l'infrastructure de test ni la capacité de gestion d'incidents que le modèle opérationnel exige réellement. La capacité en visas doit correspondre au nombre d'ingénieurs OT et de personnels d'exploitation que la société prévoit réellement d'embaucher, et non à un effectif théorique fixé à la constitution. Les licences et les establishment cards sont renouvelées chaque année, et une société qui détient des équipements, un site de surveillance ou une salle d'exploitation sécurisée doit planifier ce renouvellement en même temps que tout bail de locaux, plutôt que de le traiter comme un événement distinct. Le coût au-delà de ces montants se construit par strates, et les honoraires de service Velarozone sont détaillés dans la lettre de mission plutôt que publiés comme un chiffre d'appel.